Contrat de sous-traitance des données

Article 1Pourquoi ce document existe

En saisissant dans Locatia le nom, les coordonnées ou les revenus de tes locataires, tu leur appliques un traitement de données personnelles dont tu es le responsable. Locatia héberge et traite ces informations pour ton compte : elle en est le sous-traitant.

Le règlement impose que cette relation soit réglée par un contrat écrit. C'est l'objet de ce document, que tu acceptes en même temps que les conditions de vente.

Article 2Qui fait quoi

Tu es responsable de traitement. Tu décides quelles données tu collectes, pourquoi, et combien de temps tu les gardes. C'est à toi d'informer tes locataires de l'existence de ce traitement, et de répondre à leurs demandes s'ils souhaitent accéder à leurs données, les corriger ou les faire supprimer.

Tommy Costamagno (EI) est sous-traitant. Il ne traite ces données que sur tes instructions, pour faire fonctionner le service. Il ne les utilise à aucune autre fin : ni prospection, ni revente, ni enrichissement d'un fichier, ni entraînement d'un système automatisé.

Article 3Ce qui est traité, et pour qui

Le traitement porte sur la gestion locative : suivre des baux, appeler et encaisser des loyers, émettre des quittances, consigner des états des lieux, établir des décomptes de charges et de dépôt de garantie.

Les personnes concernées sont tes locataires et, le cas échéant, leurs garants.

• Identité : nom, prénom, date et lieu de naissance
• Coordonnées : adresse électronique, téléphone, adresse précédente
• Situation professionnelle : profession, employeur
• Données financières : revenus mensuels, loyers dus et encaissés
• Garant : nom, adresse, téléphone, adresse électronique
• Documents et observations : états des lieux, photographies, notes libres

Les revenus et la situation professionnelle sont des données sensibles par leurs conséquences, sans relever des catégories particulières de l'article 9 du règlement. Il te revient de ne collecter que ce dont tu as réellement besoin : le champ de notes libres, en particulier, ne doit pas servir à consigner un état de santé, une opinion ou une appartenance.

Article 4Durée

Le traitement dure aussi longtemps que ton compte. Les données restent accessibles après la fin d'un abonnement payant : les quittances, états des lieux et décomptes sont des pièces probatoires, et t'en priver reviendrait à te faire perdre des preuves.

Tu peux demander la suppression définitive de ton compte et de ses données par courriel. Il te revient de déterminer, avant cette demande, quels documents tu dois conserver au titre de tes propres obligations.

Article 5Confidentialité et sécurité

Les données ne sont accessibles qu'à toi, et à l'éditeur dans la seule mesure nécessaire à l'exploitation et au dépannage du service. Les mesures suivantes sont en place :

• Chiffrement de toutes les communications par HTTPS
• Mots de passe jamais stockés en clair, mais sous forme d'empreinte calculée avec bcrypt
• Accès à l'application par jeton d'authentification à durée limitée
• Cloisonnement des données par compte : chaque requête est filtrée sur le compte appelant, un bailleur ne peut atteindre les données d'un autre
• Coordonnées bancaires jamais transmises aux serveurs de Locatia : elles sont saisies directement chez le prestataire de paiement
• Conservation d'une archive lisible avant toute suppression de bail, de bien ou de quittance
• Sauvegarde quotidienne des données par l'hébergeur, conservée dans un centre de données distinct de celui de production
• Mesure d'audience du site sans cookie et sans possibilité de suivre un visiteur d'un jour à l'autre

Article 6Sous-traitants ultérieurs

L'éditeur recourt aux prestataires suivants, et t'informe de tout changement afin que tu puisses t'y opposer :

Article 7Droits des personnes concernées

C'est à toi que tes locataires doivent s'adresser, puisque c'est toi qui réponds de leurs données. L'éditeur t'assiste dans ces demandes : l'application te permet d'accéder à toutes les informations saisies, de les corriger et de les supprimer par toi-même, sans avoir à passer par lui.

Article 8Violation de données

En cas de violation affectant tes données — accès non autorisé, perte, divulgation — l'éditeur t'en informe dans les meilleurs délais après en avoir pris connaissance, et te communique ce qu'il sait de sa nature, des données concernées et des mesures prises.

C'est ensuite à toi, en tant que responsable de traitement, d'apprécier s'il y a lieu de notifier la CNIL dans les soixante-douze heures et d'en informer les personnes concernées.

Article 9Fin du contrat

À la suppression de ton compte, les données sont effacées des systèmes de l'éditeur. Avant d'en arriver là, tu peux exporter ce qui t'appartient : les documents produits sont téléchargeables, et le récapitulatif annuel s'exporte au format CSV.

Article 10Registre et vérifications

Tu peux demander à l'éditeur les informations nécessaires pour démontrer le respect de ces obligations, notamment pour tenir ton propre registre des traitements.